Operadores de aplicaciones de pago y sus problemas jurídicos en Europa y Asia

Unión Europea: una nueva era de regulación unificada, pero más estricta

¿Qué significa exactamente el paso de la PSD2 a la PSD3 y al PSR para su aplicación?

La Directiva PSD2 fue revolucionaria, pero su implementación adoleció de un enfoque dispar en los distintos Estados miembros. Ello generaba inseguridad jurídica y condiciones desiguales en el mercado. Por eso la Comisión Europea presenta el paquete PSD3 y el Reglamento sobre servicios de pago (PSR), que pretende eliminar estas deficiencias. El cambio clave es que el PSR será directamente aplicable en toda la UE, lo que elimina las diferencias entre las legislaciones nacionales.

Esta armonización aporta mayor seguridad jurídica, pero al mismo tiempo supone el fin de las interpretaciones nacionales flexibles. Las nuevas normas endurecen varios ámbitos clave:

• Autenticación reforzada de clientes (SCA): La PSD3 exige compartir un mayor volumen de datos para evaluar el riesgo de la operación, incluidas características conductuales y del entorno, como la ubicación del usuario, la hora de la operación, el dispositivo utilizado o el historial de compras. La responsabilidad por la correcta aplicación de la SCA recae ahora de forma explícita en los proveedores de servicios de pago.
• Desarrollo del Open Banking: El nuevo marco elimina obstáculos para los proveedores de servicios de iniciación de pagos (PISP) y de información sobre cuentas (AISP). Estos podrán crear sus propias interfaces, y los bancos deberán publicar estadísticas sobre el rendimiento de sus API y ofrecer a los usuarios paneles claros para gestionar sus consentimientos.
• Ampliación de la responsabilidad por fraude: Este es uno de los cambios más significativos. Los proveedores deberán verificar la coincidencia entre el nombre y el IBAN del beneficiario y asumirán una responsabilidad más amplia por los fraudes de tipo «spoofing» (cuando el estafador se hace pasar por empleado del banco) y por otras formas de ingeniería social.

Los abogados de ARROWS están especializados en la implementación de la PSD3 y del PSR y pueden preparar para su empresa una revisión de los procesos internos y de la documentación contractual, para que se ajusten plenamente a los nuevos requisitos de SCA y a la responsabilidad ampliada por fraude. Para una solución inmediata de su situación, escríbanos a consultas@arws.cz.

¿Cómo evitar multas ruinosas? Obligaciones clave según el RGPD, la normativa AML y DORA

Además de la PSD3, los operadores de aplicaciones de pago deben hacer frente a una compleja red de otras regulaciones. Su incumplimiento puede tener consecuencias fatales no solo para la empresa, sino también para su dirección.

La piedra angular es el Reglamento General de Protección de Datos (RGPD), que se aplica a cualquier tratamiento de datos de ciudadanos europeos. El almacenamiento de los datos de tarjetas de pago para facilitar compras futuras, por ejemplo, requiere el consentimiento expreso del usuario, revocable en cualquier momento, ya que no se trata de un tratamiento necesario para la ejecución del contrato.

En el ámbito de la lucha contra el blanqueo de capitales, la Sexta Directiva contra el blanqueo de capitales (6AMLD) introduce un endurecimiento sustancial. Amplía la lista de delitos cuyos beneficios se consideran ilícitos (ahora, por ejemplo, la ciberdelincuencia) e introduce la responsabilidad penal también para las personas jurídicas. Por una infracción puede ser perseguida no solo una persona concreta, sino toda la sociedad, y las penas de prisión se elevan a un mínimo de cuatro años.

Una novedad es el Reglamento sobre la resiliencia operativa digital (DORA), que responde a la creciente dependencia del sector financiero de las tecnologías de la información. DORA impone obligaciones estrictas en materia de gestión de riesgos de TIC, pruebas de resiliencia y notificación de incidentes. Las sanciones por incumplimiento pueden alcanzar hasta el 10 % del volumen de negocios anual mundial.

Nuestro equipo de ARROWS cuenta con amplia experiencia en la implementación del RGPD, la normativa AML y DORA en el sector financiero. Prepararemos para usted las directrices internas completas, impartiremos formación especializada a sus empleados y nos aseguraremos de que sus sistemas y procesos cumplan plenamente la legislación, protegiéndole así de multas draconianas. ¿Necesita asistencia jurídica? Contáctenos en consultas@arws.cz.

¿Necesita una única licencia para toda la UE? Ventajas y proceso de obtención de la licencia EMI

La mayor ventaja estratégica del mercado europeo es el mecanismo denominado «passporting». Al obtener la licencia de entidad de dinero electrónico (EMI) en un Estado miembro, por ejemplo en la República Checa, adquiere el derecho a prestar sus servicios en los 30 países del Espacio Económico Europeo (EEE) sin necesidad de solicitar más autorizaciones.

La República Checa es una opción atractiva para obtener esta licencia gracias a su estabilidad política y económica y a su respetado regulador, el Banco Nacional Checo (ČNB). No obstante, el proceso de obtención de la licencia EMI plena es exigente y requiere cumplir condiciones estrictas:

• Capital inicial: Debe acreditar y mantener un capital inicial de al menos 350 000 EUR y justificar su origen lícito.
• Honorabilidad y competencia de la dirección: Todos los miembros de la dirección y los accionistas clave se someten a la denominada prueba «fit and proper», que evalúa su experiencia profesional y su integridad.
• Plan de negocio detallado: Es el documento más importante de la solicitud. Debe contener proyecciones financieras realistas a tres años, la descripción de los servicios, un análisis de mercado, la estructura organizativa y una descripción completa de la gestión de riesgos y de los procedimientos AML/CFT.
• Presencia física: El solicitante debe disponer de una oficina en la República Checa y acreditar que parte de la dirección de la sociedad se ejerce desde el territorio checo.

La obtención de la licencia EMI es un proceso exigente en el que el regulador examina cada detalle con lupa. En ARROWS hemos llevado a cabo este proceso con éxito para numerosas empresas fintech. Nos encargaremos de la preparación completa de la documentación, incluido un plan de negocio sólido, y le representaremos durante todo el procedimiento de licencia ante el ČNB. Póngase en contacto con nosotros en consultas@arws.cz y obtenga una solución jurídica a medida.

Mercados asiáticos: un mundo de reglas distintas y oportunidades estratégicas

A diferencia de una Europa en proceso de unificación, Asia es un mosaico de entornos regulatorios diversos. La expansión a mercados como China, Singapur, Japón o Corea del Sur exige un conocimiento profundo de las leyes locales y de la práctica de los reguladores de cada país. Un enfoque de «talla única» está aquí abocado al fracaso.

¿Cuáles son las mayores diferencias jurídicas entre Europa y Asia?

La diferencia fundamental radica en la ausencia de un mecanismo similar al passporting europeo. Cada país asiático exige un proceso de licencia independiente y el cumplimiento de su propio y singular conjunto de normas. Para una aplicación global, esto implica la necesidad de gestionar simultáneamente varios regímenes de compliance distintos.

Otro ámbito crítico es la transferencia transfronteriza de datos. Mientras que el RGPD restringe estrictamente la transferencia de datos personales de ciudadanos de la UE fuera del EEE, algunas jurisdicciones asiáticas, como China, pueden exigir el acceso de las autoridades estatales a los datos.

Este choque plantea a las empresas un complejo rompecabezas jurídico. La transferencia lícita de datos de la UE a Asia exige implementar instrumentos como las cláusulas contractuales tipo (SCCs) y realizar la denominada evaluación de impacto de la transferencia (TIA), que valora si la protección de datos en el país de destino es suficiente. Gracias a nuestra red ARROWS International, construida a lo largo de diez años, resolvemos cuestiones de transferencia transfronteriza de datos y de regulación local prácticamente a diario. Le ayudaremos a establecer mecanismos jurídicamente conformes para la transferencia de datos entre Europa y Asia que resistan el control de los reguladores tanto europeos como asiáticos. No dude en dirigirse a nuestro despacho: consultas@arws.cz.

China: ¿cómo cumplir los estrictos requisitos y obtener la licencia del PBOC?

El mercado chino es enorme, pero la entrada en él está condicionada al cumplimiento de algunos de los requisitos regulatorios más estrictos del mundo. Las nuevas normas para las entidades de pago no bancarias, vigentes desde el 1 de mayo de 2024, subrayan aún más el principio de «primero la licencia»: la autorización del Banco Popular de China (PBOC) debe obtenerse antes incluso de la propia inscripción de la empresa.

Los requisitos clave incluyen un capital mínimo desembolsado de 100 millones de RMB y la división de los servicios en nuevas categorías funcionales: «gestión de cuentas de valor almacenado» y «procesamiento de operaciones de pago». El PBOC es inflexible en materia de AML/KYC, donde las exigencias están al mismo nivel que las de los bancos. Lo demuestra el caso de la sociedad CNEPAY Co., Ltd., a la que se impuso una multa superior a 80 millones de RMB por incumplir las normas de identificación de clientes y de gestión de cuentas.

La entrada en el mercado chino exige un conocimiento preciso del entorno local y un enfoque inflexible en el cumplimiento de las obligaciones regulatorias. Con el apoyo de nuestros socios de la red ARROWS International, le ayudaremos a superar todo el proceso de licencia ante el PBOC y a configurar sus procesos AML/KYC para que se ajusten a los estrictos estándares chinos. Para una solución inmediata de su situación, escríbanos a consultas@arws.cz.

Singapur, Japón y Corea del Sur: ¿qué debe saber sobre los reguladores locales?

Estos tres mercados asiáticos clave ofrecen una infraestructura avanzada y consumidores tecnológicamente competentes, pero cada uno tiene sus propias reglas específicas.

• Singapur: El regulador local, la Monetary Authority of Singapore (MAS), supervisa el cumplimiento de la exhaustiva ley de servicios de pago (Payment Services Act). La obtención de la licencia (p. ej., Major Payment Institution) exige cumplir condiciones como un capital mínimo (de 100 000 a 250 000 SGD) y la presencia de directivos locales. La MAS es conocida por su estricta supervisión, como demuestra el caso de junio de 2025, en el que impuso a cinco entidades de pago una multa conjunta de 960 000 SGD por infringir las normas AML.
• Japón: Aquí la regulación es dual. Los aspectos operativos se rigen por la Payment Services Act (PSA), mientras que la protección de datos está regulada por la Act on the Protection of Personal Information (APPI). Entre las obligaciones clave figuran las medidas de protección de los usuarios, el mantenimiento de depósitos de garantía y una gestión sólida de la seguridad de la información. La autoridad supervisora, la Financial Services Agency (FSA), no duda en imponer elevadas multas administrativas por la infracción de las normas.
• Corea del Sur: La norma principal es la Electronic Financial Transactions Act (EFTA), que exige el registro ante el regulador, la Financial Services Commission (FSC). Las condiciones incluyen un capital suficiente y la implantación de sistemas de protección del consumidor y de los datos. La FSC supervisa activamente el mercado y tiene potestad para imponer sanciones considerables por las infracciones.

Cada uno de estos mercados tiene sus particularidades. Gracias a nuestra red internacional ARROWS International contamos con expertos locales que conocen no solo las leyes, sino también la práctica de los reguladores locales como la MAS, la FSA y la FSC. Nos encargaremos de obtener para usted las licencias y autorizaciones necesarias en cada una de estas jurisdicciones. ¿Necesita asistencia jurídica para expandirse a Asia? Contáctenos en consultas@arws.cz.

Expansión internacional y gestión de riesgos: cómo protege ARROWS su negocio

Operar a escala global en el ámbito de los servicios de pago requiere no solo capital y tecnología, sino sobre todo una estrategia jurídica a toda prueba. Subestimar las particularidades regulatorias locales puede provocar pérdidas financieras que pongan en peligro la propia existencia de la empresa.

¿Qué riesgos corre si subestima las particularidades locales?

Las consecuencias no son meramente teóricas. Como muestran los casos reales, las sanciones son duras e inmediatas. Puede tratarse de multas de hasta el 10 % del volumen de negocios anual por infringir DORA en Europa, del 4 % por infracciones del RGPD, o de importes concretos como 960 000 SGD en Singapur o más de 80 millones de RMB en China por deficiencias en los procesos AML.

Además de las sanciones económicas directas, existe también el riesgo reputacional. Para una empresa fintech cuyo negocio se basa en la confianza, la noticia de un fallo regulatorio suele ser un golpe fatal. Y, por último, pero no menos importante, la legislación moderna como la 6AMLD conlleva también el riesgo de responsabilidad penal personal para los miembros de la dirección, lo que eleva la gestión del compliance al máximo nivel estratégico.

¿Por qué un socio jurídico global es clave para su crecimiento?

Gestionar la agenda regulatoria en varios continentes es extremadamente exigente. Por eso, colaborar con un único socio global capaz de coordinar todos los pasos jurídicos constituye una ventaja competitiva esencial. Precisamente este servicio lo presta nuestra red ARROWS International, que hemos construido durante más de diez años.

Le ofrecemos un único punto de contacto para resolver todas sus necesidades jurídicas internacionales. Nuestra experiencia, avalada por el trabajo para más de 150 sociedades anónimas y 250 sociedades de responsabilidad limitada, garantiza rapidez y la máxima calidad. No somos solo asesores jurídicos; somos socios estratégicos que conectan a los clientes y les ayudan a encontrar nuevas oportunidades de negocio.

De la regulación a la oportunidad con ARROWS a su lado

Orientarse en los complejos y dispares entornos regulatorios de Europa y Asia es un reto imponente, pero no insuperable. Con un asesoramiento jurídico proactivo y especializado, este riesgo se convierte en una ventaja competitiva que permite un crecimiento global seguro y sostenible.

ARROWS no es solo un proveedor de servicios jurídicos; somos su socio estratégico para la expansión global. Nuestro equipo está preparado para ayudarle a transformar los retos regulatorios en éxito empresarial. Para un apoyo jurídico integral de su aplicación de pago, no dude en contactarnos en consultas@arws.cz.